Truffle Security'den sızan anahtarlar için ücretsiz iptal programı: 1,4 milyon canlı kimlik bilgisiyle başlıyor

Açık kaynak secret tarama aracı TruffleHog'un arkasındaki Truffle Security, 4 Kasım'da Secrets Revocation Program adlı ücretsiz bir girişim duyurdu. Programın fikri basit: sızmış bir API anahtarını ya da token'ı yalnızca sahibine haber vermek yetmiyor, anahtarı veren şirket onu doğrudan iptal edebilmeli. Şirket programın, kendi araştırmasıyla doğruladığı 1,4 milyon canlı kimlik bilgisiyle başladığını söylüyor. Bu rakam şirketin kendi iddiası; bağımsız bir doğrulama yok. (VentureBeat'in başlığında "14 milyon" yazsa da metinde ve diğer kaynaklarda rakam 1,4 milyon.)

Nasıl çalışıyor? Habere göre program, herkese açık kodda, yazılım paketlerinde, container imajlarında ve AI eğitim veri setlerinde bulunan anahtarları hedefliyor. Kimlik bilgisi veren şirketler (API sağlayıcıları, SaaS hizmetleri) iki yoldan birini seçebiliyor: - Doğrulanmış sızıntıları bir webhook üzerinden alıp kendileri iptal etmek, - Truffle'a bir iptal uç noktası verip anahtarların otomatik kapatılmasını sağlamak.

Program erken erişimde ve kimlik bilgisi veren her kuruma açık. E-posta API sağlayıcısı Resend, programın lansman ortaklarından biri olduğunu duyurdu.

Neden önemli? Sızan bir anahtarın tehlikesi, kimse fark etmeden çalışmaya devam etmesinde. Truffle'ın ayrı bir GitHub çalışmasında 224 milyonu aşkın public repoda 543.699 hâlâ geçerli kimlik bilgisi bulunduğu raporlanmıştı. Bildirim yöntemi çoğu zaman sonuçsuz kalıyor: geliştirici e-postayı görmüyor, repo terk edilmiş oluyor. Sağlayıcı tarafında iptal, sızıntı ile kötüye kullanım arasındaki pencereyi daraltabilir. Öte yandan anahtarın birdenbire iptal edilmesi, onu üretimde kullanan bir uygulamanın beklenmedik şekilde durması anlamına da gelebilir. Kısa süre önce Claude Code ayar dosyalarıyla GitHub'a düşen parolalar da sorunun ne kadar yaygın olduğunu gösterdi.

Ne yapılmalı? 1. Kullandığınız sağlayıcıların bu tür bir programa katılıp katılmadığını takip edin. Katılıyorsa sızan bir anahtarın habersiz iptal edilebileceğini operasyon ekibine bildirin. 2. Repolarınızı ve CI çıktılarınızı düzenli olarak secret taramasından geçirin; GitHub push protection gibi önleyici kontrolleri açık tutun. 3. Uzun ömürlü statik anahtarlar yerine kısa ömürlü token'ları ve bir secret yöneticisini tercih edin. 4. Sızdığından şüphelendiğiniz bir anahtarı silmekle yetinmeyin; önce rotate edin, sonra git geçmişini temizleyin. 5. Kimlik bilgisi veren bir şirketseniz, sızıntı bildirimi alıp iptal edebileceğiniz bir süreç ve uç nokta tanımlayın.